Попросите ИИ проверить безопасность вашего телефона, ноутбука и сайта

Руководство о том, как сделать ChatGPT, Claude или ИИ-агента проверяющим: за один вечер найти слабые места в настройках телефона, ноутбука и сайта, исправить их по одному и повторять проверку раз в месяц. Внутри готовые промпты для копирования и правила, без которых такой помощник сам становится риском.

Зачем звать ИИ в проверяющие

25 октября 2026 года разработчик Питер Левелс рассказал, что потратил целый день на одну фразу в Claude Code: «Do a full security audit of this website and server», то есть «проведи полный аудит безопасности этого сайта и сервера». Он прогнал её на каждом своём сервере и сайте.

Заодно он перечислил другие меры. На серверах уже работали автоматические обновления безопасности в Ubuntu с перезагрузкой. Каждый сервер он изолировал в частной сети Tailscale с правилами доступа, которые сгенерировал тот же Claude Code: взломанный сервер не дотянется ни до соседних серверов, ни до его ноутбука и телефона. Веб-сервисы он перевёл на отдельного пользователя без прав администратора.

Из этого Левелс сделал вывод: раз в месяц нужна целая «неделя безопасности», потому что модели становятся сильнее и защита должна успевать за ними. Он надеется, что возможности ИИ в атаке и защите примерно равны и регулярная просьба «проведи аудит» помогает держать оборону.

Атакующие уже работают с агентами круглосуточно. После взлома облачной консоли OpenCode её разработчик написал, что команде нужны агенты, работающие круглосуточно, потому что у атакующих такие уже есть. Эта история разобрана в посте «OpenCode Console взломали. Попытки атак продолжаются». Обычному человеку не нужен круглосуточный агент. Достаточно того же подхода в малом масштабе: попросить ИИ пройтись по настройкам, объяснить найденное простыми словами и составить план исправлений.

ИИ хорошо справляется с этой работой по трём причинам. Он не устаёт читать длинные экраны настроек. Он знает, где в iOS, Android, macOS и Windows прячутся нужные переключатели. И он объясняет, зачем менять каждую настройку, поэтому вы понимаете, что делаете. Ошибиться с названием пункта меню он может, поэтому проверяйте его подсказки по своему экрану.

Правила до начала проверки

Проверяющий с доступом к вашим устройствам сам может навредить: ошибиться, удалить лишнее или увидеть то, чего видеть не должен. Пять правил снимают большую часть риска.

1. Сначала только чтение. Первый проход — осмотр и список проблем. Агент ничего не меняет, пока вы не прочитали отчёт.
2. Каждое исправление подтверждаете вы. Одно изменение — одно ваше «да». Никаких «исправь всё сразу».
3. Пароли, коды и ключи ИИ не получает. Ни в чате, ни голосом, ни в файле. Проверить надёжность пароля можно без самого пароля.
4. Закрывайте секреты на скриншотах. Перед отправкой замажьте пароли, коды из SMS, номера карт, QR-коды двухфакторной защиты, ключи восстановления и чужие персональные данные. Встроенный редактор скриншотов на телефоне и компьютере это умеет.
5. Никаких прав администратора без присмотра. Если агент работает на компьютере или сервере, вы видите каждую команду до запуска. Не оставляйте его с правами администратора и не уходите, пока он работает.

Что понадобится

• Для телефона: чат ChatGPT или Claude, куда можно отправлять скриншоты.
• Для ноутбука: тот же чат со скриншотами либо агент в терминале, например Claude Code, если хотите, чтобы он сам читал состояние системы.
• Для сайта или сервера: Claude Code, доступ по SSH и свежая резервная копия или снимок сервера у хостинга.
• Для всего сразу: один свободный вечер и календарь, куда вы в конце поставите ежемесячное напоминание.

Телефон за 15 минут

Для телефона агент не нужен. Хватит обычного чата ChatGPT или Claude, куда можно отправить скриншоты. Названия пунктов меню зависят от версии системы и производителя, поэтому ИИ полезен и как навигатор: опишите модель телефона, и он подскажет, где искать.

Что сфотографировать с экрана:

• Обновления системы. iPhone: «Настройки → Основные → Обновление ПО». Android: раздел обновлений в настройках, обычно «Система» или «Обновление ПО».
• Двухфакторная защита главных аккаунтов. Apple ID или аккаунт Google, почта, Госуслуги, банк, мессенджеры.
• Сохранённые пароли. На iPhone приложение «Пароли» показывает раздел с предупреждениями о слабых, повторяющихся и утёкших паролях. На Android такую проверку делает менеджер паролей Google.
• Активные сеансы и устройства. Список устройств в аккаунте Apple или Google, в Telegram «Настройки → Устройства», в почте и банке.
• Проверка безопасности на iPhone. «Настройки → Конфиденциальность и безопасность → Проверка безопасности» показывает, кому вы дали доступ к геопозиции, фото и другим данным.

Отправьте скриншоты одним сообщением вместе с промптом.

Промпт:

Ты помогаешь мне проверить безопасность телефона. Я прикладываю скриншоты настроек. Пароли и коды на них закрыты, не проси их показать.

Модель телефона и версия системы: [впишите].

Проверь по скриншотам:
1. Установлены ли последние обновления системы.
2. Включена ли двухфакторная защита на главных аккаунтах.
3. Есть ли предупреждения о слабых, повторяющихся или утёкших паролях.
4. Есть ли в списке активных сеансов незнакомые устройства или старые телефоны.
5. Каким приложениям и людям открыт доступ к геопозиции, фото, микрофону и контактам.

Ответь списком проблем от самой опасной к наименее опасной. Для каждой: что не так, чем это грозит и где в настройках это исправить. Ничего не предлагай устанавливать. Если на скриншоте чего-то не видно, скажи, какой экран прислать.

После ответа исправляйте по одному пункту. Начните с почты и аккаунта Apple или Google: через них восстанавливают доступ ко всему остальному.

Промпт:

Возьмём первую проблему из твоего списка. Объясни по шагам, что нажать на моём телефоне, чтобы её исправить. После каждого шага я пришлю скриншот, а ты скажешь, правильно ли я сделал. Пароли и коды я ввожу сам и не показываю.

Ноутбук на Mac и Windows

С ноутбуком есть два способа. Первый подходит всем: скриншоты системных настроек в чат, как с телефоном. Второй — для тех, кто уже работает с агентом в терминале, например Claude Code или Codex: агент сам читает состояние системы командами. В обоих случаях порядок одинаковый: сначала только проверка и список проблем, затем исправления по одному.

Что показать ИИ на Mac:

• «Системные настройки → Основные → Обновление ПО»;
• «Конфиденциальность и безопасность»: FileVault (шифрование диска) и разрешения приложений;
• «Сеть → Брандмауэр»;
• раздел «Объекты входа» в основных настройках: что запускается вместе с системой.

Что показать ИИ на Windows:

• «Параметры → Центр обновления Windows»;
• приложение «Безопасность Windows»: защита от вирусов и угроз, брандмауэр;
• шифрование устройства или BitLocker, если они есть в вашей редакции Windows;
• список автозагрузки в диспетчере задач.

Два пункта подходят обеим системам:

• Расширения браузера. Сфотографируйте список установленных расширений. Расширение с разрешением «читать и изменять все данные на сайтах» видит и пароли, и коды из SMS, поэтому незнакомые и ненужные лучше удалить.
• Фильтры и пересылка в почте. В Gmail это «Настройки → Все настройки → Фильтры и заблокированные адреса» и вкладка «Пересылка и POP/IMAP». После взлома почты атакующие часто оставляют скрытое правило, которое пересылает им ваши письма.

Промпт:

Проведи проверку безопасности моего ноутбука. Система: [macOS или Windows, версия].

Режим: только проверка. Ничего не меняй, не удаляй и не устанавливай. Если работаешь с доступом к терминалу, используй только команды, которые читают состояние системы, и перед каждой командой объясняй, что она делает. Команды с правами администратора не запускай.

Проверь:
1. Установлены ли последние обновления системы и браузеров.
2. Включено ли шифрование диска.
3. Включён ли брандмауэр и встроенная защита от вирусов.
4. Какие программы запускаются при входе в систему и есть ли среди них незнакомые.
5. Каким приложениям открыт доступ к камере, микрофону, экрану и файлам.
6. Есть ли программы, которые давно не обновлялись.
7. Какие расширения установлены в браузере и нет ли среди них незнакомых или с излишними разрешениями.
8. Нет ли в почте незнакомых фильтров и адресов пересылки.

Итог дай таблицей: проблема, чем опасна, насколько срочно, как исправить. Исправлять пока ничего не нужно.

Когда список готов, переходите к исправлениям. Для агента в терминале выбирайте режим, где он спрашивает разрешение на каждое действие. В Claude Code это ручной режим: запуск claude --permission-mode manual; если сессия уже открыта, режим переключается клавишей Shift+Tab. В свежих версиях Claude Code по умолчанию включается автоматический режим, где команды выполняются без вашего подтверждения, поэтому режим лучше задать явно (документация, проверено 25 октября 2026 года).

Промпт:

Теперь исправляем проблемы из твоей таблицы по одной, начиная с самой срочной.
Для каждой:
1. Объясни, что именно изменится.
2. Покажи команду или путь в настройках.
3. Дождись моего ответа «да» и только потом действуй.
4. После изменения покажи, как убедиться, что всё сработало.
Если для исправления нужен пароль администратора, я введу его сам. Не проси его в чате.

Урок GMO: пароль, сохранённый в программе, можно украсть целиком

23 октября 2026 года японская компания GMO Internet опубликовала официальное уведомление о несанкционированном доступе к сервису облачных серверов Onamae.com Desktop Cloud. Посторонние установили вредоносную программу в серверные окружения части клиентов. На этих серверах клиенты держали в том числе программы для биржевой торговли.

Что сообщила компания:

• под возможным ударом 26 739 серверов. Это число серверов, которые могли пострадать; подтверждённых случаев компания не называет;
• третьи лица могли получить информацию, сохранённую на серверах, включая логины и пароли от торговых счетов, записанные в торговых программах;
• с 21 октября клиенты сообщают о несанкционированных сделках и подозрительной активности на торговых счетах;
• работа всех серверов остановлена; затем компания решила перевести клиентов на отдельную облачную инфраструктуру, а потери от несанкционированных сделок пообещала компенсировать.

Урок для всех: пароль, который программа помнит за вас, лежит на устройстве. Когда взломано само устройство, такой пароль уходит вместе с ним. GMO прямо пишет, что под угрозой оказалось всё, что клиенты сами сохранили на серверах, в том числе пароли внутри торговых программ.

GMO попросила клиентов сделать четыре вещи. Это хороший порядок действий для любой похожей ситуации:

1. Сменить пароли от торговых счетов и торговых программ с другого устройства, которым не пользовались для торговли.
2. Завершить все активные сеансы входа.
3. Проверить историю операций и остатки на счетах.
4. Включить двухфакторную защиту.

Для обычного ноутбука из этого следуют две привычки. Храните пароли в менеджере паролей, а не в настройках отдельных программ и текстовых файлах. И включите второй фактор там, где лежат деньги: тогда украденного пароля мало для входа. Если вы даёте ИИ-агенту работать в аккаунтах, выбирайте схему, где модель не видит пароль. Пример такого входа разобран в посте о ChatGPT Work и менеджере паролей.

Промпт:

Помоги найти на моём компьютере места, где пароли могут храниться вне менеджера паролей. Система: [macOS или Windows].
Режим: только проверка, ничего не открывай и не копируй. Мне нужен список мест, где их обычно хранят: браузеры, почтовые и торговые программы, FTP-клиенты, текстовые файлы, заметки.
Для каждого места объясни, как самому проверить его и как перенести пароли в менеджер паролей. Содержимое файлов мне не показывай и не проси прислать.

Для владельцев сайта или сервера

Если у вас есть сайт на собственном сервере (VPS), можно повторить проверку Левелса. Для этого подходит Claude Code: агент запускается на сервере или подключается к нему и читает конфигурацию. Как установить и настроить Claude Code, описано в руководстве по Claude Code.

Правила здесь строже, чем для ноутбука:

• запускайте агента в ручном режиме claude --permission-mode manual и читайте каждую команду до подтверждения;
• работайте под обычным пользователем, а не под root;
• перед исправлениями сделайте резервную копию или снимок сервера у хостинга;
• первый проход — только отчёт, исправления — отдельными подтверждёнными шагами.

Промпт:

Проведи полный аудит безопасности этого сайта и сервера.

Режим: только чтение. Ничего не меняй, не перезапускай сервисы, не устанавливай пакеты и не открывай файлы с паролями, ключами и переменными окружения. Если для проверки нужен такой файл, сообщи, что его стоит проверить, не показывая содержимое. Перед каждой командой объясни, что она делает.

Проверь:
1. Обновления системы и включены ли автоматические обновления безопасности.
2. Какие порты открыты в интернет и какие службы их слушают.
3. Настройки входа по SSH: вход по паролю, вход под root, ключи.
4. Под каким пользователем работают веб-сервер и приложения, нет ли у них прав root.
5. Брандмауэр и защиту от перебора паролей.
6. Версии веб-сервера, языка программирования, CMS и плагинов, известные уязвимости в них.
7. Права на файлы сайта и места, куда можно загружать файлы.
8. Резервные копии: есть ли они и хранятся ли вне этого сервера.

Итог: таблица проблем по срочности, для каждой риск и предлагаемое исправление. Исправлять пока ничего не нужно.

Если код сайта лежит на GitHub, пройдите заодно руководство «Безопасность GitHub»: утёкший в репозиторий ключ открывает сервер не хуже незакрытого порта.

Как убрать сервер из открытого интернета

23 октября 2026 года Левелс посоветовал владельцам серверов убрать их из публичного интернета с помощью Tailscale и Cloudflare Tunnel. По его словам, вход по SSH-ключу не спасает от уязвимостей, которые сейчас находит ИИ. В сервер есть два пути: через сайт или приложение и через сам сервер, например открытый порт.

• Сайт прячется за Cloudflare Tunnel. Сервер сам устанавливает исходящее соединение с Cloudflare, и посетители попадают на сайт только через него. Порты 80 и 443 на сервере можно закрыть. Левелс отмечает, что на бесплатном тарифе Cloudflare по умолчанию включён защитный фильтр запросов (WAF). Выбор и настройка туннеля описаны в руководстве «Cloudflare DNS, Workers и Tunnel».
• Управление сервером уходит в Tailscale. Это частная сеть только из ваших устройств: ноутбука, телефона и сервера. SSH доступен лишь внутри неё. Как Tailscale открывает доступ к компьютеру без публикации портов в интернете, показано в статье «Как настроить Mac mini без монитора для ИИ-агентов».
• Брандмауэр у хостинга закрывает всё входящее. Туннели работают через исходящие соединения, поэтому входящие можно запретить полностью.

Левелс сам оговаривается: такая схема сокращает поверхность атаки до Tailscale и туннеля, но идеальной защиты не бывает.

Промпт:

Составь план, как перевести мой сервер за Cloudflare Tunnel и Tailscale, не потеряв к нему доступ.
Сейчас: [ОС сервера, хостинг, что на нём работает, как я подключаюсь].
Нужно: пошаговый план с проверкой после каждого шага, точка, после которой можно закрывать входящие порты, и способ вернуть доступ через консоль хостинга, если что-то пойдёт не так.
Ничего не выполняй, только план.

«Неделя безопасности» раз в месяц

Разовая проверка устаревает быстро: выходят новые уязвимости, приложения получают новые разрешения, появляются новые аккаунты. Поэтому идею Левелса стоит превратить в привычку. В домашнем масштабе хватит одного вечера в месяц.

Как это устроить:

1. Создайте в календаре повторяющееся событие на первый выходной месяца, например «Проверка безопасности», на час.
2. В описание события вставьте промпты из этого руководства, которые вам подошли.
3. Каждый раз используйте те же промпты. Тогда отчёты легко сравнивать: исчезли ли старые проблемы, появились ли новые.
4. Сохраняйте короткий итог проверки в заметках: дата, что нашлось, что исправлено.

Промпт:

Это моя ежемесячная проверка безопасности. Ниже итог прошлой проверки:
[вставьте прошлый итог]

Я прикладываю свежие скриншоты настроек. Сравни: что исправлено, что осталось, что появилось нового. Итог дай коротким списком, который я сохраню до следующего месяца.

Шпаргалка

Короткий порядок действий на один вечер:

Универсальный промпт для любого устройства:

Промпт:

Проведи проверку безопасности [телефона / ноутбука / сервера]. Режим: только проверка, ничего не меняй. Пароли и коды не проси.
Дай список проблем от самой опасной к наименее опасной: что не так, чем грозит, как исправить.
Исправлять будем потом по одной, после моего подтверждения каждого шага.

Спокойнее, когда проверено

Безопасность редко бывает интересным занятием. Сам Левелс честно признаётся, что это не самая весёлая работа, просто необходимая. Но час в месяц с ИИ-помощником превращает её из тревожной обязанности в обычную гигиену, как плановый техосмотр машины.

Проверка не гарантирует, что ничего не случится. Она убирает самые простые двери, через которые заходят чаще всего: старые обновления, повторяющиеся пароли, забытые сеансы и открытые порты. Почему сейчас это стало особенно важно, разобрано в статье «Интернет начал трещать по швам». А если хочется настроить защиту близким, начните с чек-листа защиты от взломов для себя и родителей.

Следующий шаг

После проверки позаботьтесь о том, что нельзя восстановить: Правило 3-2-1: рабочая схема резервного копирования.

Если вы хотите настроить такую ежемесячную проверку для семьи или небольшой команды и не знаете, с какого устройства начать, это удобно разобрать на вашей конкретной технике.

Если захотите обсудить, как это применить у себя или в команде — пишите в Telegram @pimenov